Un'operazione internazionale ha abbattuto YAM Store, una piattaforma criminale che forniva kit di phishing avanzati e infrastrutture cloud compromesse a livello globale.
Un'imponente operazione congiunta, guidata da Microsoft e supportata da una coalizione internazionale che include autorità giapponesi, Cloudflare, Oracle, Proofpoint, TRM Labs e Health-ISAC, ha inferto un duro colpo alla cybercriminalità di lingua cinese. L'obiettivo principale è stato lo smantellamento di YAM Store, un marketplace underground identificato con il codice di tracciamento Storm-3119, specializzato nella vendita di strumenti e servizi per campagne di phishing su scala industriale.
Le indagini hanno rivelato che YAM Store fungeva da hub centrale per una serie di kit di phishing altamente sofisticati, raggruppati sotto la sigla Storm-2990. Tra questi spiccano CoGUI, Haozi (noto anche come Phoenix) e il più recente Iron Man System. Quest'ultimo, in particolare, si è distinto come una piattaforma di Phishing-as-a-Service (PaaS) completa. Analisi condotte dal team HUNTER di Resecurity, che ha infiltrato le comunità degli sviluppatori, hanno confermato che Iron Man è basato su un backend in Go e distribuito come pacchetto containerizzato, facilitando la gestione di interfacce di phishing multilingue (cinese-inglese) per impersonare banche, corrieri, autorità fiscali e istituzioni governative.
Le nuove evidenze tecniche, ottenute tramite l'analisi di deployment in ambienti isolati, hanno svelato come questi kit non siano semplici strumenti statici. Utilizzano comunicazioni via WebSocket e notifiche su Telegram per permettere agli operatori di monitorare in tempo reale le vittime mentre inseriscono credenziali, dati di pagamento o codici di verifica. Gli attaccanti possono intervenire manualmente durante la sessione, trasformando una pagina di phishing in una vera e propria interazione fraudolenta dinamica.
La pericolosità di YAM Store risiedeva nella sua capacità di integrare strumenti di attacco con infrastrutture legittime. I criminali sfruttavano ambienti cloud compromessi, ottenendo autorizzazioni tramite Microsoft Graph e accesso alle API di SharePoint e OneDrive per ospitare i propri materiali malevoli. L'uso di tecniche come il geofencing, filtri basati su indirizzo IP e falsi gate CAPTCHA ha permesso di eludere i ricercatori di sicurezza e l'analisi automatizzata.
Le indagini hanno identificato oltre 2.360 template di phishing unici, distribuiti in 130-150 paesi. È fondamentale sottolineare che la presenza di un brand in un template non implica necessariamente che l'organizzazione sia stata compromessa, ma riflette l'ampiezza del raggio d'azione dei criminali. L'infrastruttura di backend, collegata a endpoint come api2[.]peaceman[.]cc, fungeva da sistema di licenza centralizzato: un punto di debolezza che ha permesso alle autorità di colpire simultaneamente numerosi clienti del servizio criminale.
L'operazione, autorizzata dal tribunale distrettuale degli Stati Uniti per il distretto meridionale della Florida, ha portato al sequestro di domini chiave e alla disattivazione di oltre 20.000 account collegati a YAM Store, con il blocco preventivo di oltre 100.000 domini fraudolenti. Nonostante il successo, la minaccia rimane alta: le analisi hanno evidenziato l'esistenza di istanze Gitea accessibili pubblicamente che contenevano versioni storiche dei container, suggerendo una pipeline di sviluppo ancora attiva.
Per difendersi, gli esperti raccomandano alle organizzazioni di:
La lotta contro Storm-2990 dimostra come la collaborazione pubblico-privato sia l'unica via percorribile per contrastare ecosistemi criminali che, dal 2026, hanno generato oltre un miliardo di messaggi malevoli, colpendo decine di migliaia di aziende in tutto il mondo.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
